GMO不正アクセス、サーバを止めてもパスワードを変えても…被害が続く“ある抜け穴”(4/4)

【チェックリスト】決めるのは人…自社を点検する10項目

　セキュリティ対策は、道具を買うだけでは完結しない。何が危険かを知り、どこを守るかを決め、そのうえで道具を選ぶ。この順序を取り違えなければ、道具は生きる。

　最後に、経営と実務の両面から確認しておきたい点を整理する。

（図表9枚目：自社は大丈夫？ 自己点検チェックリスト（10項目））

No.	点検項目	今回の事案との関係	状況
1	外部クラウドに、顧客や自社の金融口座の認証情報を保存・接続している業務はどこか。保存する場合、暗号化と秘密情報の管理で守っているか	保存されたログイン情報が取得された可能性がある（GMO第2報）	□ 適合／□ 課題あり
2	侵害を知ってから数時間以内に、認証情報の失効・全セッション切断・出金保留を実行できる手順と権限があるか。外部基盤の事故時に、該当顧客群を緊急遮断できるか	サーバ停止やパスワード変更だけでは、被害を止め切れないおそれがある	□ 適合／□ 課題あり
3	パスワード変更や失効のとき、既存のセッション・トークン・APIキーも同時に失効するか	GMOは、変更後も既存の接続が残り得るとして、全セッションの切断を求めた	□ 適合／□ 課題あり
4	ログイン、自動化の接続、出金・設定変更の3つの場面で、それぞれ別の防御を置いているか	ログインだけを強くしても、別の認証情報や発行済みの接続は残る	□ 適合／□ 課題あり
5	パスキー導入後も、SMSなどの弱い方式や、緩い回復手続きが残っていないか	ダウングレードや回復手続きが次の入り口になる	□ 適合／□ 課題あり
6	普段と違うIP・端末・取引パターンを検知し、自動で保留・遮断できるか	取引口座での不正な操作の報告が相次いだ	□ 適合／□ 課題あり
7	顧客が使うクラウド基盤やサードパーティー製ツールのリスクを、定期的に評価しているか	金融会社の外側の環境からも被害が広がり得る	□ 適合／□ 課題あり
8	クラウドの管理者アカウントにMFA（多要素認証）とIP制限があり、利用者環境が分離され、共通の特権アカウントがないか	攻撃者は共通の管理者アカウントなどを主張（未検証）	□ 適合／□ 課題あり
9	認証情報の漏えい時の顧客周知、補償方針、問い合わせ窓口を含む、事故対応の計画があるか	GMOは見舞金、損失補償、代替サービス、特別お見舞金を決定した	□ 適合／□ 課題あり
10	脆弱性や指摘事項に、期限と経営への報告経路があり、期限超過が見えるか。経営陣がサイバーリスクを事業継続の重大リスクとして所管しているか	GMOは社内の事前指摘への対応が十分でなかったと説明した	□ 適合／□ 課題あり

　今回の事案は、GMOに固有の問題として片付けるべきではない。クラウドの利用、金融の自動化、認証の強化が並行して進む今、継ぎ目で何が起きるかは、どの企業にとっても他人事ではない。

　侵入経路などの詳細は今後の公表を待って評価したいが、自社でも同じことが起きたとき、誰が、何を、どこまで止めるのか。その判断を平時から用意しておく必要がある。